Những gì phải khớp trước khi MX có thể kết thúc IPsec
Một lần commit chấp nhận cấu hình chỉ chứng minh bộ phân tích cú pháp, không chứng minh đường đi. Năm phần của bộ tuple nền tảng quyết định dịch vụ có thực sự chạy hay không.
Cấu hình commit sạch sẽ, các giao diện đều lên, vậy mà đường hầm vẫn từ chối thiết lập. Không có dòng log nào nói rằng nền tảng này không làm được; nó chỉ đơn giản là không làm. Trên Junos, IPsec là một dịch vụ mà một tổ hợp cụ thể gồm chassis, phần cứng dịch vụ hoặc đường đi phần mềm và bản phát hành mới có thể thực hiện, còn trang tính năng mô tả năng lực của phần mềm chứ không mô tả thiết bị của bạn. Bộ tuple phải được kiểm tra từng phần, vì kết quả commit chỉ chứng minh bộ phân tích cú pháp.
Gói tin thực sự đi đâu
Lưu lượng được chọn cho IPsec phải đến được thành phần mã hóa nó. Trên các nền tảng có mô-đun dịch vụ, luồng được chọn được dẫn tới mô-đun đó rồi sau đó quay trở lại đường chuyển tiếp. Nếu mô-đun thiếu, không đủ năng lực hoặc không được gắn vào giao diện, cấu hình vẫn tồn tại mà không một gói tin nào được xử lý. Không có gì trong đầu ra commit phân biệt được trường hợp đó với một trạng thái khỏe mạnh.
Các cách triển khai chạy bằng phần mềm giữ công việc trên routing engine hoặc trong phần cứng nội tuyến, với giới hạn tài nguyên rất khác nhau. Một đường hầm hiện ra trong cấu hình không cho bạn biết đường nào trong số đó đang thực sự mang nó.
Năm phần của bộ tuple
Hãy ghi tổ hợp ra trước khi đọc bất kỳ khuyến nghị nào, vì một phần có thể vô hiệu hóa các phần còn lại. Một mã phụ tùng từng hỗ trợ dịch vụ cách đây ba năm không nói gì về card và bản phát hành trong chassis này. Hãy đọc các dòng bên dưới như danh sách kiểm tra, rồi điền những giá trị mà cấu hình không thể cho bạn thấy.
| Part | What to record | Where it fails quietly |
|---|---|---|
| Chassis and service hardware | Model plus the installed PIC, MPC or MIC | Card absent or not bound to the interface |
| Implementation | Services card, inline or software path | Configuration accepted, no processing |
| Release | Exact Junos version | The feature arrives in a later build |
| Address families and mode | Outer and inner family, tunnel mode, peer authentication | Half the traffic silently unprotected |
| Entitlement and capacity | Licence state and the workload profile | Ceiling reached only under load |
Họ địa chỉ và khối lượng công việc là hai dòng người ta hay bỏ qua, và cả hai đều rẻ để kiểm tra nhưng đắt khi phát hiện muộn. Hãy đọc bộ tuple từ thiết bị chứ không phải từ bảng tính, vì cấu hình báo cáo thứ bạn yêu cầu chứ không phải thứ đã được cài. Hai lệnh mang phần lớn thông tin: show chassis hardware nêu tên card thực sự được gắn, và show version cho biết bản phát hành chính xác. Cả hai đều không phụ thuộc vào việc cấu hình có đúng hay không, và đó chính là điểm mấu chốt.
show chassis hardware
show versionCác cổng phát hành là cổng thật
Chi tiết bản phát hành không phải chuyện hình thức. Tài liệu tổng quan IPsec của Juniper ghi hỗ trợ AES-GCM cho card đa dịch vụ từ Junos 17.3R1, với chế độ FIPS bắt đầu từ 17.4R1. Vì thế cùng một tính năng có hai ngưỡng tùy vào cách vận hành nền tảng, và chế độ bạn chạy quyết định ngưỡng nào áp dụng. Hãy kiểm tra chế độ trước khi kiểm tra danh sách tính năng.
Hãy đọc ghi chú phát hành của đúng phiên bản đã cài, không phải phiên bản mới nhất được ghi trong tài liệu. Một năng lực xuất hiện ở bản build sau không thể được coi là có ở bản trước đó, và một phát biểu viết cho một card không chuyển sang card khác. Hãy chép dòng ghi chú phát hành vào hồ sơ thiết kế để nhận định đó mang theo nguồn của chính nó, vì một phát biểu hỗ trợ viết cho một dòng nền tảng không phải là phát biểu về chế độ bạn chạy hay card bạn có.
Dung lượng là khối lượng công việc, không phải con số trên tiêu đề
Một con số thông lượng trên tiêu đề mà không kèm điều kiện đo chỉ là con số tiếp thị. Gói nhỏ tốn kém hơn nhiều trên mỗi bit so với gói lớn, các liên kết bảo mật đồng thời tiêu tốn bộ nhớ, và mọi dịch vụ khác dùng chung card đều làm giảm phần còn lại.
Hãy ước lượng từ lưu lượng bạn mong đợi: kích thước gói điển hình và xấu nhất, số lượng peer, và liệu card đó có kết thúc NAT hay một dịch vụ khác hay không. Sau đó để dư cho ngày một đường nào đó mang tải nhiều hơn thiết kế giả định. Một kế hoạch dung lượng giả định phần cứng nhàn rỗi là điều ước chứ không phải kế hoạch. Nếu con số đó quan trọng với bài toán kinh doanh, hãy đo một lần trên thiết bị dưới một tải đại diện và giữ kết quả đo đó cùng thiết kế.
Viết hồ sơ trước thiết kế
Với mỗi năng lực mà thiết kế cần, hãy giữ tham chiếu nền tảng, tài liệu khớp với bản phát hành và mọi hạn chế chưa được giải quyết ở cùng một chỗ. Khi một dòng của bộ tuple không đạt, hãy so sánh với một gateway đã được phê duyệt riêng thay vì xây lại thiết kế quanh một danh sách mua sắm đã lỗi thời. Hồ sơ nên nói rõ hệ thống nào thực hiện công việc và trong những giới hạn nào.
Chỉ sau đó mới kiểm tra peer, vì khả năng tương thích giao thức với đầu xa là câu hỏi tiếp theo và không bao giờ thay thế được sự hỗ trợ tại chỗ. Một peer đồng ý về các đề xuất vẫn không thể giúp một chassis không bao giờ mã hóa gói tin.